Su violación expone los tipos más sensibles de PHI
La empresa de telemedicina Hims & Hers Health, más conocida como Hims, sufrió una filtración de datos a través de su plataforma de atención al cliente de terceros. Debido a la naturaleza extremadamente sensible de algunos productos de Hims, los clientes pueden correr el riesgo de sufrir consecuencias graves y embarazosas.
¿Ha llamado al servicio de atención al cliente en algún momento desde entonces? Pandemia de COVID-19 ¿Terminó y escuchó un mensaje de voz automatizado que decía «Estamos experimentando un volumen de llamadas más alto de lo normal…» independientemente del día y la hora de su llamada? Si bien las empresas reemplazaron gradualmente a los representantes humanos de servicio al cliente por bots y llamaron a esto «revolucionario», Han adoptado un enfoque igualmente tacaño para proteger su servicio al cliente en línea.
En los últimos años, los ciberdelincuentes se han dirigido a dichas plataformas y, en el caso de Hims, un actor de amenazas obtuvo acceso a tickets de atención al cliente que contenían una cantidad potencialmente grande de datos de clientes altamente confidenciales. Información de salud personal (PHI). el infame cazadoresbrillantes Según un informe de BleepingComputer, el grupo se atribuyó la responsabilidad del ataque. informe la semana pasada, pero estas afirmaciones no pudieron ser verificadas.
«Esto no es sólo una filtración de datos, es una ruptura de la relación con el cliente», afirma Baker Johnson, director comercial de UJET. «Cuando alguien pide apoyo, especialmente en el ámbito de la atención sanitaria, es un momento de confianza. Han pedido ayuda y, en cambio, han perdido la confianza. Eso cambia la forma en que se involucran, y una vez que surge esa vacilación, la lealtad ya está comprometida».
¿Qué pasó con los datos de sus clientes?
En una visible autorrefutación Divulgación de violaciones Ante la Oficina del Fiscal General de Vermont, Hims informó que se dio cuenta por primera vez de una actividad sospechosa dirigida a su plataforma de servicio al cliente el 5 de febrero. La compañía dijo que tomó «medidas inmediatas para proteger el servicio afectado», pero esas medidas no tuvieron un impacto tan inmediato ya que los piratas informáticos mantuvieron el acceso del 4 al 7 de febrero. Durante este tiempo, actores no autorizados capturaron «ciertos tickets» de clientes que buscaban soporte para el producto.
La empresa tardó un mes en determinar que estos tickets de soporte contenían nombres e información médica no especificada que pertenecían a «un grupo limitado» de clientes afectados. (Un representante de la empresa le dijo a la publicación hermana de Dark Reading, Cybersecurity Dive, que Las direcciones de correo electrónico también se vieron afectadas.) Otro mes después, la empresa empezó a informar a los clientes afectados. Hims no dijo qué plataforma de soporte de terceros utiliza.
Dark Reading se acercó a Hims pero no recibió respuesta al momento de la publicación.
Para Johnson, Hims es sólo el último ejemplo de una tendencia independiente de la industria. «Este es un problema de diseño. El servicio al cliente es una de las fuentes más ricas de datos personales en la organización hoy en día, pero todavía se gestiona a través de un mosaico de sistemas dispares: registros aquí, transcripciones allá, flujos de trabajo en otros lugares. Esta fragmentación crea riesgos», afirma.
¿Está en riesgo la PHI vergonzosa?
Como cuenta la vieja historia, Hims ahora ofrece a los clientes afectados un año de monitoreo de crédito gratuito y algunos párrafos de orientación sobre protección de identidad.
Sin embargo, la amenaza del robo de identidad no es el único problema al que se enfrentan actualmente los clientes de Hims. Entre vallas publicitarias lascivas y publicidad incesante en podcasts, Hims ha construido su marca en torno a los problemas médicos que más teme la gente: disfunción eréctil, caída del cabello, obesidad y salud mental.
No sólo se especializa en aquellos que son particularmente sensibles, sino que la compañía también comercializa sus productos principalmente entre grupos demográficos más jóvenes: hombres y mujeres en momentos de sus vidas en los que estos problemas están particularmente estigmatizados. Con esto en mente, podría brindar a los atacantes la oportunidad de obtener algo más que información básica de identificación personal (PII) de Hims, y posiblemente solo eso. Chantajear a individuos a un nivel que va más allá Filtraciones de PHI general normalmente lo permiten.
Dark Reading hasta ahora no ha podido encontrar ninguna evidencia de que ShinyHunters o cualquier otro grupo de cibercrimen haya filtrado los datos de Hims, aunque el grupo de extorsión tiene un historial de filtración de datos robados si sus víctimas no pagan.
Para las empresas que gestionan muchas plataformas de software de terceros, «el camino a seguir es diseñar experiencias en las que, en primer lugar, los datos no se dispersen entre sistemas, sino que se muevan de forma segura, permanezcan en entornos confiables y existan sólo mientras sean necesarios», dice Johnson de UJET. «Porque, en última instancia, la seguridad no es una característica de la experiencia. Es lo que hace que la experiencia sea confiable».
Nos llegó este contenido de ciberseguridad de: DarkReading
Puedes encontrar la noticia original en el enlace que sigue: https://www.darkreading.com/cyberattacks-data-breaches/hims-breach-exposes-sensitive-phi
